第60回 脆弱性診断ええんやで(^^) やられWebアプリケーションの倒し方（OWASP BWA編）
募集方法について 次のつぶやきを見て「(・∀・)ｲｲ!!」と思ったので真似してます(^^) https://twitter.com/making/status/874599484545581056 https://security-testing.doorkeeper.jp/events/73188 （LT枠1名＋前日以降キャンセルしない枠 39名＋当日にキャンセルするかも…枠10名） https://security-testing.connpass.com/event/85029/ （抽選 10名） テーマ 今回のテーマはやられWebアプリケーションの倒し方（OWASP BWA編）です。 以前に実施した「第57回 脆弱性診断ええんやで(^^) やられWebアプリケーションの倒し方」では、様々な脆弱性が意図的に埋め込まれている、実験・教育用のWebアプリケーションである「やられWebアプ
猶予8時間！脆弱性だらけのサービスを堅牢化する実践型研修 - Speee DEVELOPER BLOG
Speeeエンジニアの西岡（@nisshieeorg）です。 去る7/5(水)、Speeeでは社内の全エンジニア向けに、セキュリティ研修を実施しました。本研修では、株式会社リクルートテクノロジーズの西村宗晃様に講師としてお越しいただきました。この場を借りてお礼申し上げます。 研修の目的 Webを主戦場にして戦う私達エンジニアは、自分たちのサービスそのものや、ユーザー、顧客を守るために、より安全なWebアプリケーションを構築する知識・技術を求められます。もちろんSpeeeでも、このような知識を身につけることは必須とした上で、日々の開発ではソースコードレビューや各種脆弱性診断ツールを用いて、私達が構築するアプリケーションの安全性を高めるよう努めています。しかし一方これまでSpeeeでは、「セキュリティに関する体系的な知識の学習法が会社から提示されていないため、個人の学習に依存している」「小さな
リンクのへの rel=noopener 付与による Tabnabbing 対策 | blog.jxck.io
なお IE は(security zone setting をいじらない限り)この問題が発生しないようだ。 引用元: blankshield demo | Reverse tabnabber phishing tabnabbing 上記の挙動を、フィッシング詐欺に利用できることが既に指摘されている。 この手法は Tabnabbing と呼ばれている。 Tabnabbing: A New Type of Phishing Attack Aza on Design Target="_blank" - the most underestimated vulnerability ever この攻撃方法を解説する。 攻撃の概要 https://cgm.example.com (左上) というサービスがあるとし、これは SNS やチームコラボレーション系サービスを想定する。 攻撃者は、このサービスの不
Detecting injected content from third-parties on your site
Is your site on HTTPS? No? Do you know if any ISP's or other services are injecting Ads or anything else in to your site? No. I thought not. I don't either... well, maybe until now. TL;DR It's incredibly hard to detect if an ISP is manipulating your site, however it is relatively easy to aggregate many of the content injections occurring across your site. As a publisher of content you should be co
Introducing the Security Panel in DevTools
$200K 1 10th birthday 4 abusive ads 1 abusive notifications 2 accessibility 3 ad blockers 1 ad blocking 2 advanced capabilities 1 android 2 anti abuse 1 anti-deception 1 background periodic sync 1 badging 1 benchmarks 1 beta 83 better ads standards 1 billing 1 birthday 4 blink 2 browser 2 browser interoperability 1 bundles 1 capabilities 6 capable web 1 cds 1 cds18 2 cds2018 1 chrome 35 chrome 81
What technical details should a programmer of a web application consider before making the site public?
The idea here is that most of us should already know most of what is on this list. But there just might be one or two items you haven't really looked into before, don't fully understand, or maybe never even heard of. Interface and User Experience Be aware that browsers implement standards inconsistently and make sure your site works reasonably well across all major browsers. At a minimum test agai
Content security policy | Articles | web.dev
Content security policy Stay organized with collections Save and categorize content based on your preferences. Content Security Policy can significantly reduce the risk and impact of cross-site scripting attacks in modern browsers. The web's security model is rooted in the same-origin policy. Code from https://mybank.com should only have access to https://mybank.com's data, and https://evil.exampl
フロントエンドWeb戦略室 記事一覧 | gihyo.jp
第1回外部サイトに貼り付けるJavaScriptの作法―ポリシー、速度、セキュリティ、プライバシー（3） mala 2012-07-04 第1回外部サイトに貼り付けるJavaScriptの作法―ポリシー、速度、セキュリティ、プライバシー（2） mala 2012-07-03
Web Security - Google Code University - Google Code
Web Security As more and more information is available on the web, securing that data becomes increasingly important to protect users. Contributed course content Video lectures Contributed Course Content These course material submissions from industry and academia are designed to help teach web security to students around the world. This submission contains slides that complement each of the chapt
情報セキュリティ技術動向調査（2011 年上期）：IPA 独立行政法人 情報処理推進機構
この何年かでWebアプリケーションは、サーバ上のみでプログラムが動作するものから、多くのJavaScriptコードがWebブラウザで動作し、背後でサーバと連携して、リッチかつスムーズな操作感を提供するものへと進化してきた。このことは、Webブラウザ上に悪意のスクリプトを送り込む「スクリプト注入（XSS）」攻撃を、より防止しづらく、悪用の懸念がより大きなものに変化させた。本稿は、WebアプリケーションにAjax等の進化をもたらした技術について振り返るとともに、スクリプト注入対策を考慮すべき新たな文脈について論じるものである。 Ajax（Asynchronous JavaScript and XML）[1]は、必要となるデータを非同期でWebサーバから取り寄せつつ、Webブラウザの画面上でなめらかな操作性を提供する形態のJavaScriptプログラムのことである。かつてのブラウザにおいてはこの
Rewarding web application security research
The latest news and insights from Google on security and safety on the Internet Oscar said... This is a really good approach. It rewards people for pushing the boundaries of the software and finding issues with it. I wish the Diaspora guys had something like this in place. November 1, 2010 at 4:00 PM Unknown said... Excellent effort by Google (clap clap clap) November 1, 2010 at 4:49 PM Unknown sa
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Just a moment...
502 Bad Gateway nginx openresty 54.249.85.140